Waar veel gemeenten als het gaat om privacy kiezen voor een vraaggestuurde ‘juridische’ aanpak, doet Leidschendam-Voorburg het anders: pragmatisch en risicogestuurd. Het betekent dat zij zich niet storten op de berg met privacyvragen, maar concrete instructies geven over wat zorgvuldig omgaan met informatie betekent voor medewerkers en prioriteren op basis van privacyrisico’s.
Beeld: Shutterstock
Half mei 2018 stelde de gemeente Leidschendam-Voorburg haar privacybeleid vast. Eén A4’tje waarin de gemeente aan inwoners én medewerkers inzicht geeft in wat zij doet en níet doet met persoonsgegevens. Michiel Gorsse (waarnemend gemeentesecretaris/ algemeen directeur) geeft aan dat privacy binnen Leidschendam-Voorburg niet los wordt gezien van het reguliere werk. “In alle gevallen moeten medewerkers een afweging maken in hoeverre iets bijdraagt aan het doel van de gemeente. Hoe zorgvuldig en efficiënt om te gaan met informatie hoort, naast bijvoorbeeld de vraag of er wel geld is, bij die afweging. Als gemeente willen wij dat medewerkers zelf nadenken over zaken. Privacy is daarbij belangrijk, maar niet per definitie belangrijker dan bijvoorbeeld het recht op zorg, veiligheid of de rechten van een kind.”
Jiska Ligtenberg, Functionaris Gegevensbescherming (FG) bij de gemeente Leidschendam-Voorburg, gaat er vanuit dat binnen haar gemeentelijke organisatie iedereen kan omgaan met informatie van en over mensen. “Daar hoef je geen jurist voor te zijn of cursussen op het gebied van AVG (Algemene Verordening Gegevensbescherming) voor te volgen. Uiteraard probeer ik vanuit mijn rol medewerkers te begeleiden in wat zorgvuldig omgaan met informatie concreet betekent. Naast het ‘privacy proof’ maken van reguliere werkzaamheden, vormen instructies voor specifieke thema’s en leeractiviteiten hiervoor de basis. Momenteel werken we bijvoorbeeld aan een e-learning oplossing, waarin we die handvatten ook trainen. Die oplossing bevat geen vragen als ‘wat is een datalek of wat zijn de rechten van betrokkenen?’, maar wel vragen als ‘wat doe je als je informatie wilt uitwisselen met een externe partij en waarom zou een inwoner dit misschien niet willen?”
‘Gewoon zorgvuldig’
Volgens Ligtenberg draagt juridisch indekken als het gaat om privacy vaak niet bij aan de daadwerkelijke zorgvuldigheid met informatie. “Ik zie bijvoorbeeld dat veel gemeenten zich ten aanzien van verwerkers (partijen die voor hun opdracht, namens de gemeente, persoonsgegevens gebruiken) contractueel indekken. Het eindresultaat is dat je een lade vol stevige juridische contracten hebt. Als het ooit misgaat, kunnen gemeenten teruggrijpen op die contractuele afspraken. Maar wordt de feitelijke omgang met informatie hiervan zorgvuldiger? En wat is het positieve effect voor inwoners? Wij werken met een instructie. Die instructie bestaat uit één A4’tje in normaal Nederlands en richt zich met name op bewustwording.” Gorsse: “Deze instructie voldoet aan de wettelijke minimumeisen van een verwerkersovereenkomst, maar beoogt vooral om samen met partners de zorgvuldige omgang met informatie in praktijk te borgen. Zorgvuldigheid en samenwerken staan voorop, in plaats van indekken en aansprakelijkheid. Privacy in praktijk borgen blijft overigens pionieren. We gaan bezien of we dit effect in praktijk ook echt weten te bereiken.”
Mijns inziens zou een gemeentebestuur van haar FG moeten eisen dat er risicogestuurd gewerkt wordt
Jiska Ligtenberg ervaart dat het gros van de gemeenten het privacyvraagstuk vooral zien als een juridisch compliance vraagstuk. “Er wordt vraaggestuurd gewerkt en principekwesties bereiken vaak het bestuur niet. Mijns inziens zou een gemeentebestuur – in het belang van haar inwoners – van haar FG moeten eisen dat er risicogestuurd gewerkt wordt. Met een focus op daadwerkelijk zorgvuldige en efficiënte omgang met informatie in praktijk. Door te kiezen voor een dergelijke pragmatische aanpak kan het bestuur ‘privacykramp’ op de werkvloer verminderen en zorgen dat principekwesties haar bereiken. Het effect voor inwoners is groter, de grootste risico’s krijgen de hoogste prioriteit, de organisatie wordt minder belast en je bespaart op (juridische) kosten.”
Bestuurstafel
Ligtenberg ziet veel medewerkers, maar ook externe partijen in een ‘privacykramp’ schieten, maar volgens haar is dat onnodig. “Daar waar we als gemeente een publieke taak hebben, hebben we immers veelal een grondslag voor het verwerken van persoonsgegevens. Privacy is een klassiek grondrecht. Vaak áls privacy wringt, is er iets aan de hand in de relatie tussen overheid en burger. We treden bijvoorbeeld buiten onze publieke taken (bemoeizorg) of gaan op de stoel zitten van politie of zorgverleners. Privacy dwingt ons dan te blijven bij onze taak als gemeente”, aldus Ligtenberg, die vindt dat principiële vraagstukken over privacy op de bestuurstafel horen. “Het is aan hen om te bepalen of en zo ja, in welke mate privacy moet wijken voor andere belangen. Zoals veiligheid of zorg.”
Binnen de gemeente Leidschendam-Voorburg zijn in de afgelopen jaren twee van dergelijke principekwesties op collegeniveau besproken, zo laat Michiel Gorsse weten. “Dat had te maken met de samenwerking met betrekking tot de zorg aan multiprobleemgezinnen en het verwerken van persoonsgegevens bij mogelijke radicalisering. Naar mijn weten zijn wij de enige gemeente, in ieder geval in de regio, die deze principediscussies op bestuursniveau gevoerd hebben. Het is bij ons de opdracht van de FG dergelijke principekwesties bij het bestuur onder de aandacht te brengen en toe te zien op gemaakte afspraken. Het is dan wel zaak om een stevige FG te hebben.”
Volwassenheidsniveau AVG
De privacyaanpak van Leidschendam-Voorburg wordt gesteund door de VNG. Zij noemt de aanpak van Leidschendam-Voorburg “het volwassenheidsniveau van de AVG”, zo laat Jiska Ligtenberg weten. “Tegelijk geeft de VNG aan dat gemeentebesturen eerst zelf moeten kiezen welke aanpak zij voorstaan. Daarbij zouden de instructies van Leidschendam-Voorburg in iedere andere gemeente bruikbaar kunnen zijn. Om de continuering van de privacyaanpak van de Zuid-Hollandse gemeente te borgen, is een en ander vastgelegd in een tekening (zie: hieronder) en geformuleerd in een helder beschreven opdracht aan de FG.
Het moge duidelijk zijn: als het gaat om privacy, kiest de gemeente Leidschendam-Voorburg voor een pragmatische en risicogestuurde aanpak. Of dat ook zo blijft? Wat Jiska Ligtenberg betreft kan het twee kanten uitgaan. “Of we blijven het doen op onze manier, óf we worden in de juridische compliance gedwongen waarbij we, net als de rest van Nederland, vinkjes gaan zetten en contractlades aan gaan leggen. Ik zou dat laatste eeuwig zonde vinden en ook een groot verlies voor de privacy van onze inwoners.” Michiel Gorsse denkt dat een groot deel zal afhangen van toekomstig optreden van de toezichthouder, de Autoriteit Persoonsgegevens (AP). “Ik denk dat juridische compliance (vinkjes) vaak eenvoudiger is om te toetsen.” Toch hoopt Ligtenberg dat de AP, in het kader van haar toezichthoudende taken, de feitelijke zorgvuldigheid met informatie in de praktijk voorop stelt. FG’s en de AP zouden elkaar kunnen helpen en elkaars positie kunnen versterken. De AP is dan ook van harte welkom om met ons in gesprek te gaan over hoe de privacyrechten van inwoners in de praktijk zo goed mogelijk kunnen worden beschermd.”
Meer informatie?
Jiska Ligtenberg, Functionaris Gegevensbescherming
Michiel Gorsse, waarnemend gemeentesecretaris/algemeen directeur
